La catena di fornitura delle estensioni è il percorso che un componente aggiuntivo per un editor di codice compie dal suo distributore, passando attraverso un registro o marketplace di estensioni, fino al computer di uno sviluppatore. In ambienti fidati come VS Code e editor compatibili, alle estensioni viene spesso concesso ampio accesso a file, comandi, terminali e segreti locali, quindi questo percorso diventa una via di distribuzione di alto valore.
È importante perché gli aggressori possono abusare del normale modello di distribuzione: pubblicano uno strumento convincente, usano branding e cambi di versione per sembrare legittimi e si affidano agli sviluppatori per installarlo. Una volta installata, un'estensione malevola può rubare chiavi API, token, sessioni del browser o dati relativi ai wallet, oppure preparare il sistema per ulteriori compromissioni. Le difese si concentrano sul controllo della supply chain: verificare l'identità del distributore, limitare le installazioni con allowlist o marketplace privati, rivedere i permessi, abilitare Workspace Trust e cercare segreti. Trattare la selezione delle estensioni come parte della policy di sicurezza aiuta a bloccare le minacce prima ancora che il codice venga eseguito.